VPN waa xiran yahay laakiin dab-demiska wali wuu xannibayaa: sida loo ogaado kee

Macmiilku wuxuu leeyahay waa xiran yahay, khadkuna wali wuu diidayaa, tallaabada xigta ee caadiga ahna waa in wax la damiyo. Labada kontorool ee jumladaas waxay qabtaan shaqooyin kala duwan: VPN waxay u dhistaa wado taraafikada la daboolay, dab-demisna wuxuu go'aansadaa xiriir kasta haddii taraafikadu dhaafi karto. Tunnel shaqeeya oo leh siyaasad diidmo ah wuxuu ka muuqdaa kursiga isticmaalaha sida tunnel jaban, sidaas darteed shaqadu waa in la ogaado lakabka jawaabaya. Waa kan nidaamka aan raacayo, akhrinta ku tidhaahda inaad istaagto la socota.

Kala sooc wadada iyo siyaasadda

Ka bilow qaabka guuldarada, sababtoo ah waa macluumaad bilaash ah. Packet-ka oo dhaca wuxuu keenaa waqti-dhaaf: macmiilku wuu isku dayaa mar kale, waxba ma soo noqdaan, amarkuna wuu laadlaadsan yahay ilaa uu iska dhiigo. Diidmadu waxay keentaa diidmo ama dib-u-habeyn: wax baa jawaabay oo yiri maya. Adeeg aan dhegeysan wuxuu ku diidaa martigeliyaha laftiisa, iyada oo aan dab-demis la hayn.

Saddexdaas natiijo waxay tilmaamayaan lakabyo kala duwan. Waqti-dhaafku waxa uu ka dhigan yahay in meel siyaasad si aamusan u tuurto, ama wadadu marnaba ma baxdo mishiinka. La diiday waxa uu ka dhigan yahay inaad gaartay martigeliyaha oo xirmihiisa ama dab-demistiisa maxalliga ahi diideen. Aamusnaan buuxda, iyada oo interface-ka tunnel-ku sarreeyo oo aan wado u jirin meesha loo socdo, waxay ka dhigan tahay in wadadu khaldan tahay oo aan qaanuun dab-demis ah uu hagaajin doonin.

Akhri wadada hal mar

Xaqiiji in tunnel-ku daboolo meesha loo socdo ka hor intaadan eegin hal qaanuun. Tunnel qaybsan oo kaliya qaada subnet-ka xafiiska ma wado codsi kale, markaas guuldaradu waxay u ekaanaysaa xannibaad dab-demis oo aanay ahayn:

ip route get 10.20.4.15
ip -brief address show
wg show
sudo ipsec statusall

Soo-saarka wadadu waxa uu sheegaa interface-ka packet-ku ka baxayo iyo ciwaanka isha ee uu qaadayo. Haddii interface-kaasi aanu ahayn tunnel-ku ee uu yahay kaarkaaga shabakada jirka, dhibaatadu waxay ku jirtaa marin-u-jiidka ama xadka la oggolaaday ee tunnel-ka, waxayna ka tirsan tahay habaynta VPN ee ma aha dab-demiska.

Hal dabin oo VPN-ka gaar ah ayaa u baahan hubin gaar ah. WireGuard dhexdiisa, AllowedIPs ee peer waa wado iyo shaandheyn sir ah isku mar: packet-ka ciwaankiisa ishu aanu ku habboonayn kooxda la oggolaaday ee peer-ka waa la tuuraa ka hor inta aan la eegin wax qaanuun dab-demis ah. Sidaas darteed dab-demis martigeliyaha oo si buuxda u saxan ayaa ku dambayn kara tuurid aamusan oo u eg siyaasad, hagaajintuna waa xariiq habayn fure ah ee ma aha qaanuun.

Akhri siyaasadda lakabka jawaabaya

Marka wadadu saxan tahay, mari siyaasadda martigeliyaha iyo dibadda oo fiiri lakabka kaliya ee tiriyeyaashiisu dhaqaaqaan:

ss -ltn | grep ':443'
sudo nft list ruleset
sudo iptables -S INPUT
sudo ufw status verbose

Socket-ka dhegeysta wuxuu ka jawaabaa su'aal ka duwan qaanuunnada. Haddii wax aanay ka dhegeysan dekedda, kernel-ku wuu diidaa xiriirka oo ma jiro qaanuun soo-gel ah oo khuseeya. Haddii socket-ku jiro oo xiriirka macmiil fog uu waqti-dhaafo, tuurid ayaa ka dhacaysa meel wadada ah, tiriyeyaasha qaanuunnaduna waxay sheegaan haddii ay halkan dhacayso.

Daar logging-ka profile-ka ama silsiladda aad ka shakisan tahay halkii aad dibadda ka mala-awaali lahayd. Hal tuurid la diiwaangeliyay oo sheegta isha, meesha loo socdo iyo dekedda ayaa tilmaamta lakabka iyo qaanuunka, waxayna sidoo kale caddaynaysaa in packet-ku yimid, taas oo aanay jirin imtixaan dhinaca macmiilka ah oo caddayn kara.

Akhri go'aanka iridda marka tunnel-ku halkaas ku dhammaado

Irrid goob-ilaa-goob ama marin-fog ah, VPN waxay xaqiijisaa isticmaale oo siyaasaddu waxay oggolaataa kheyraad, kuwaasuna waa oggolaansho kala duwan. Isticmaale la soo daayay tunnel-ka lama siiyo si otomaatig ah martigeliye kasta oo gudaha ah, diidmaduna inta badan waxay ka timaaddaa qaanuun gudbin iyada oo tunnel-ku laftiisu caafimaad qabo. Isla kala-soocaas waxa uu ka muuqdaa IPsec, halkaas oo siyaasadda amniga ee doorata taraafikada ay ka duwan tahay shaandheynta oggolaata, sababtaas awgeedna labadaba waxaa loo diiwaangeliyay sidii habab kala duwan RFC 4301.

Hubi wadada soo-noqodka si la mid ah taxaddar leh sida tan bixidda. Shaandheynta xaaladeed waa in ay aragto jawaabta, sidaas darteed marin-u-jiid aan isku mid ahayn oo tunnel-ka dhex mara hal jiho oo hareerihiisa mara jihada kale wuxuu abuuraa tuurisyo u eg shil oo kaliya macmiilada qaarkood ka soo noqda. Haddii taraafikadu gaarto iridda oo istaagto, akhri qaanuunka gudbinta iyo wadada soo-noqodka wada ka hor intaadan wax ballaarin.

Iridda sidoo kale waa meesha qaanuun NAT ama maaskarad uu ku qarin karo isha dhabta ah. Haddii martigeliyayaasha gudaha ay arkaan ciwaanka iridda halkii macmiilka, qaanuunnada dab-demiska martigeliyahooda ee ay tahay in ay la kulmaan kooxda macmiilka marnaba ma kulmayaan, hagaajintuna waxay leedahay iridda ee ma aha server kasta.

Beddel lakabka ugu cidhiidhsan, ka dib xaqiiji

Ka hortag hagaajinta ballaaran. Damiinta dab-demiska martigeliyaha, ku darista qaanuun oggolaada wax walba, ama ku qasbista interface kasta profile la aamini karo mid kastaa waxa uu meesha ka saarayaa kontoroolkii shaqadiisa qabanayay, isbeddelkuna wuu ka badbaadayaa dhacdada. Qaanuun ku xaddidan xadka isha iyo dekedda la hadlayaa waa sahlan tahay in la eego, sahlan tahay in la tirtiro, wuxuuna ka tagaa siyaasadda kale ee mishiinka oo aan dhaqaaqin.

Ku xaqiiji isla imtixaankii guuldarraystay, isla macmiilkaas, ka dibna mar kale ka dib dib-u-xirashada, sababtoo ah qaanuun ku habboonaa ka hor inta tunnel-ku dib u gorgortamo ayaa laga yaabaa in uu dambeeyo ku habboonaansho:

nc -vz 10.20.4.15 443
curl -v --max-time 5 https://10.20.4.15/

Ka hor intaadan xirto:

• Wadada loo maro meesha loo socdo waxay ka baxdaa interface-ka tunnel-ka, ciwaanka ishuna wuu la kulmaa waxa siyaasaddu filayso.
• Wax baa ka dhegeysanaya dekedda, diidmada ama waqti-dhaafkuna waxaa loo nisbeeyaa qaanuun magac leh ee ma aha mala-awaal.
• Iriddu waxay u gudbisaa labada jiho, meesha loo socduna waxay aragtaa isha qaanuunnadaada loo qoray.
• Ma jirin kontorool la damiyay si imtixaanku u gudbo, isbeddelka aad samaysayna waxa uu sheegaa hal xad oo isha ah iyo hal deked.